Liferay Portal and Liferay DXP have a Denial Of Service via File Upload (DOS) vulnerability

中 4.3CVE-2025-43736 · GHSA-cg99-m88x-422c · 12/08/2025 公開 · 17/06/2026 更新

要点

CVE-2025-43736 は com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom, com.liferay:com.liferay.account.admin.web に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.29%（全脆弱性の 21.1% より高い）。
対処：2024.Q1.17, 2025.Q1.9, 2.0.138, 13.10.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.liferay.portal:release.dxp.bom Maven	`≥ 2024.Q1.0, < 2024.Q1.17≥ 2024.Q2.0, ≤ 2024.Q2.13≥ 2024.Q3.0, ≤ 2024.Q3.13≥ 2024.Q4.0, ≤ 2024.Q4.7≥ 2025.Q1.0, < 2025.Q1.9≤ 7.4.13.u92`	`2024.Q1.172025.Q1.9`
com.liferay.portal:release.portal.bom Maven	`≥ 7.4.3.0, ≤ 7.4.3.132`	修正版なし
com.liferay:com.liferay.account.admin.web Maven	`< 2.0.138`	`2.0.138`
com.liferay:com.liferay.frontend.taglib Maven	`< 13.10.0`	`13.10.0`
com.liferay:com.liferay.image.uploader.web Maven	`< 5.0.56`	`5.0.56`
com.liferay:com.liferay.users.admin.web Maven	`< 11.0.27`	`11.0.27`
digital experience platform liferay	`= 7.4≥ 2024.Q2.1, ≤ 2024.Q2.13≥ 2024.q1.1, ≤ 2024.q1.16≥ 2024.q3.1, ≤ 2024.q3.13≥ 2024.q4.0, ≤ 2024.q4.7≥ 2025.q1.0, ≤ 2025.q1.8`	修正版なし
liferay portal liferay	`≥ 7.4.3.0, ≤ 7.4.3.132`	修正版なし

概要

A Denial Of Service via File Upload (DOS) vulnerability in Liferay Portal 7.4.3.0 through 7.4.3.132, Liferay DXP 2025.Q1.0 through 2025.Q1.8, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.0 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.16 and 7.4 GA through update 92 allows a user to upload a profile picture of more than 300kb into a user profile. This size is more than the noted max 300kb size. This extra data can significantly slow down the Liferay service.

NVD の説明

A Denial Of Service via File Upload (DOS) vulnerability in the Liferay Portal 7.4.3.0 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 2025.Q1.8, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.0 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.16 and 7.4 GA through update 92 allows a user to upload more than 300kb profile picture into the user profile. This size more than the noted max 300kb size. This extra amount of data can make Liferay slower.

参考情報

nvd.nist.gov/vuln/detail/CVE-2025-43736 · ADVISORY
liferay/liferay-portal commit ab8932b · WEB
liferay/liferay-portal · PACKAGE
liferay.atlassian.net/browse/LPE-18220 · WEB
liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2025-43736 · WEB

com.liferay.portal:release.dxp.bom のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2025-43736 は com.liferay.portal:release.dxp.bom, com.liferay.portal:release.portal.bom, com.liferay:com.liferay.account.admin.web に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。

今後30日間に悪用される確率（EPSS）：0.29%（全脆弱性の 21.1% より高い）。

対処：2024.Q1.17, 2025.Q1.9, 2.0.138, 13.10.0 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

com.liferay.portal:release.dxp.bom

Maven

≥ 2024.Q1.0, < 2024.Q1.17≥ 2024.Q2.0, ≤ 2024.Q2.13≥ 2024.Q3.0, ≤ 2024.Q3.13≥ 2024.Q4.0, ≤ 2024.Q4.7≥ 2025.Q1.0, < 2025.Q1.9≤ 7.4.13.u92

2024.Q1.172025.Q1.9

com.liferay.portal:release.portal.bom

Maven

≥ 7.4.3.0, ≤ 7.4.3.132